Ovatko pelialan toimittajasopimuksesi alttiita riskeille? ISO 27001 A.5.20 -standardin selitys

Miksi pelialan toimittajasopimukset ovat merkittävä unohdettu riski

Pelialan toimittajasopimuksista tulee merkittävä tietoturva- ja vaatimustenmukaisuusriski, kun kriittiset palvelut toimivat epämääräisillä, vanhentuneilla tai yleisillä ehdoilla. Vaikka sisäiset kontrollisi olisivatkin vahvoja, heikot sopimukset studioiden, työkalukumppaneiden ja maksupalveluntarjoajien kanssa voivat hiljaa avata hyökkäysreittejä ja herättää kysymyksiä tilintarkastajilta ja sääntelyviranomaisilta, mikä mitätöi paljon hyvää työtä, jonka olet tehnyt oman tietoturvasi ja vaatimustenmukaisuutesi eteen. Erityisesti peliala on riippuvainen tiheästä ulkoisten studioiden, alustojen ja maksukumppaneiden verkostosta, joten ISO 27001 -standardin toimittajakontrollit eivät ole paperityötä – ne ovat osa sitä, miten suojaat pelaajia, tuloja ja sertifiointiasi, ja liite A.5.20 muuttaa toimittajariskin ymmärtämisen selkeiksi sopimusvelvoitteiksi.

Nämä tiedot ovat yleisiä ohjeita, eivät oikeudellisia neuvoja; sinun tulee aina työskennellä pätevän asianajajan kanssa niillä lainkäyttöalueilla, joilla toimit.

Vahvat sopimukset muuttavat monimutkaiset toimittajaverkostot hallittaviksi ja jaetuiksi vastuiksi.

Kuinka todellinen pelitoimitusketjusi luo piilotettua näkyvyyttä

Todellinen pelitoimitusketjusi on yleensä pidempi ja riskialttiimpi kuin sisäiset kaaviosi antavat ymmärtää. Se, mikä näyttää yhdeltä pelipalvelulta dialla, usein kätkee alleen ketjun kolmansia osapuolia, alihankkijoita ja neljäsiä osapuolia, jotka kaikki voivat vaikuttaa riskiprofiiliisi. Liite A.5.20 edellyttää, että näet koko ketjun ja otat sen huomioon sopimuksissasi, ei vain arkkitehtuuripiirustuksissasi.

Tyypillinen moderni peli käyttää ulkoisia studioita, pelimoottorilaajennuksia, huijauksenestoa, analytiikka-SDK:ita, live-ops-työkaluja, pilvihostingia, sisällönjakelua ja useita maksupalveluntarjoajia, jotka kaikki voivat koskea pelaajatietoja, pelilogiikkaa tai tapahtumakulkuja. Kun luettelet nämä toimittajat alusta loppuun, mukaan lukien alihankkijat ja neljännet osapuolet, jos olet niistä tietoinen, käy usein ilmeiseksi, että jotkut suurimmista palveluista sijaitsevat lyhyiden, yleisten turvalausekkeiden tai jopa tarkistamattomien "vakioehtojen" alaisuudessa.

Visuaalinen: Yhden live-pelin toimitusketjun kokonaiskartta, joka näyttää, mitkä palvelut koskevat pelaajatietoja, koodia ja maksuja.

Nuo lausekkeet perustuvat usein liukkaisiin ilmaisuihin, kuten:

"Noudatan alan parhaita turvallisuuskäytäntöjä."
"Ryhdyn kohtuullisiin toimiin asiakastietojen suojaamiseksi."
"Turvallisuusvastuut jaetaan tarvittaessa."

Juuri sieltä hyökkääjät etsivät heikkoja lenkkejä, ja sieltä sääntelyviranomaiset ja tilintarkastajat etsivät todisteita siitä, että olet ryhtynyt kohtuullisiin toimiin. Jäsennelty toimittajien luettelo, johon on merkitty, mihin tietoihin heillä on pääsy ja kuinka kriittisiä he ovat pelitoiminnalle, antaa sinulle tosiasiallisen lähtökohdan. Vasta sen jälkeen voit päättää, mitkä suhteet todella tarvitsevat liitteen A.5.20 kaltaisia sopimusparannuksia ja mitkä voivat pysyä kevyempinä.

Kun heikoista lausekkeista tulee ongelma

Heikot sopimuslausekkeet ovat yleensä haitallisia, kun tapahtuu jokin onnettomuus ja kaikki kiistelevät siitä, mistä oikeasti sovittiin. Sopimusteksti aiheuttaa harvoin ongelmia hiljaisena päivänä; ongelmaksi muodostuu se, kun vastuut, ilmoitusaikataulut ja yhteistyövelvollisuudet ovat epämääräisiä ja ihmiset hukkaavat aikaa roolikeskusteluun ongelman ratkaisemisen sijaan.

Jos sopimuksissasi ei ole selkeästi jaettu turvallisuusvastuita, poikkeamien ilmoitusaikatauluja, yhteistyötehtäviä ja tarkastus- tai varmistusoikeuksia, kohtaat kaksi samanaikaista haastetta: itse poikkeaman käsittelyn ja keskustelun siitä, kenen tulisi tehdä mitäkin.

Tilintarkastajat ja sääntelyviranomaiset eivät etsi vain kappaletta, jossa mainitaan "parhaat turvallisuuskäytännöt". He haluavat nähdä, että sopimuksesi korkean riskin toimittajien kanssa heijastavat tunnistamiasi riskejä, että velvollisuudet ovat selkeät ja että sinulla on tapa tarkistaa näiden velvollisuuksien täyttyminen. Jos tietoturvallisuuden hallintajärjestelmän riskirekisterissä toimittajan sanotaan olevan kriittinen, mutta sopimuksessa ei sanota juuri mitään turvallisuudesta tai yksityisyydestä, tämä aukko todennäköisesti herättää kommentteja.

Tästä syystä liite A.5.20 on olemassa: se pakottaa luomaan yhteyden tietämiesi riskien ja allekirjoittamiesi ehtojen välille. Pelialustoille, jotka käsittelevät pelaajatietoja ja mikromaksuja, tämä yhteys on yksi tärkeimmistä puolustuskeinoista toimitusketjun häiriöiden muuttumista sääntely-, rahoitus- tai mainekriiseiksi vastaan.

Tyypillisiä sopimusten katvealueita pelialan organisaatioissa

Pelialan sopimusten yleiset sokeat pisteet johtuvat pikemminkin nopeudesta ja pirstaloituneisuudesta kuin tahallisesta laiminlyönnistä. Tiimit kiirehtivät allekirjoittamaan jotain, joka mahdollistaa julkaisun, ja vasta myöhemmin tajuavat, kuinka vähän se kertoo turvallisuudesta tai yksityisyydestä. Näistä hätäisesti tehdyistä sopimuksista voi tulla pitkäaikaisia, kriittisiä riippuvuuksia.

Vanhemmat julkaisusopimukset, tietyille alueille tarkoitetut white label -maksusopimukset, kokeelliset petostyökalut tai pienet live-ops-apuohjelmat on voitu kaikki ottaa käyttöön nopeasti aikataulun mukaisesti. Ajan myötä näistä yksittäisistä ratkaisuista tulee osa kriittistä polkuasi. Pieni studio, jolla on pääsy lähdekoodiin, maksulaajennus, jolla on pääsy tokeneihin, tai moderointialusta, jolla on näkyvyys chat-lokiin, voivat kaikki tuoda mukanaan riskejä, jotka ulottuvat paljon lisenssimaksun ulkopuolelle. Silti heidän sopimuksissaan ei välttämättä mainita salausta, pääsynhallintaa, tapausten käsittelyä tai tietojen palautusvelvoitteita millään merkityksellisellä tavalla.

Näiden sokeiden pisteiden tunnistaminen varhaisessa vaiheessa auttaa sinua päättämään, mistä neuvotella uudelleen, mihin lisätä sivukirjeitä ja milloin suunnitella irtautumista. Niiden huomiotta jättäminen jättää sinut selittämään tilintarkastajille ja johtajille, miksi korkean riskin toimija toimi käytännössä pelkästään luottamuksen varassa.

Miksi toimittajariskipäätösten omistajuus on tärkeä

Toimittajariskipäätöksistä selkeästi päättäminen estää tärkeiden valintojen jakautumisen tiimien kesken. Jos turvallisuus-, laki-, hankinta-, talous- ja pelitiimit jakavat kaikki vastuun, kukaan ei todella tunne olevansa vastuussa. Liite A.5.20 sopii paljon paremmin, kun joku on näkyvästi vastuussa toimittajariskistä.

Toimittajariskin omistajuus on tärkeä, koska hajautettu vastuu tarkoittaa usein sitä, että kukaan ei tunne täyttä vastuuta. Monissa pelialan yrityksissä tietoturva-, laki-, hankinta-, talous-, live-op- ja yksittäisillä pelitiimeillä on kaikilla osittainen näkemys toimittajista ja heidän sopimuksistaan.

Siksi sen sopiminen, kuka johtaa toimittajariskin hallintaa, kuka hyväksyy poikkeukset ja kuka ylläpitää toimittajarekisteriä, on edellytys sille, että liitteen A.5.20 avulla voidaan tehdä mitään mielekästä. Tämä omistajuusmalli tulisi dokumentoida tietoturvan hallintajärjestelmässäsi, jotta voit osoittaa tilintarkastajalle, miten päätökset tehdään ja kuka on vastuussa.

Tietoturvallisuuden hallinta-alusta, kuten ISMS.online, voi auttaa tarjoamalla eri sidosryhmille yhteisiä näkemyksiä toimittajista, riskeistä ja sopimuksista samalla varmistaen selkeät hyväksyntäprosessit. Teknologia ei korvaa vastuullisuutta, mutta se voi helpottaa sen toteuttamista ja osoittaa, että päätökset ovat johdonmukaisia ajan kuluessa.

Kuinka huonot sopimukset voimistavat onnettomuuksien vaikutusta

Huonot sopimukset pahentavat tilanteita hidastamalla reagointiasi ja kaventamalla vaihtoehtojasi silloin, kun eniten tarvitset selvyyttä. Vaikka toimittaja olisi selvästi syyllinen, toimijasi ja kumppanisi yhdistävät ongelman silti brändiisi. Vahvat liitteen A.5.20 lausekkeet antavat sinulle työkaluja toimia sen sijaan, että neuvottelisit paineen alla.

Jos sisältökumppani vuotaa julkaisua edeltävää materiaalia, jos maksupalveluntarjoajan toimintakatkos estää mikromaksuja tai jos analytiikka-SDK paljastaa pelaajatunnisteita, kysymykset ovat samat: kuinka nopeasti sait tietää, mitä teit ja mitä aiot muuttaa? Hyvin suunnitellut sopimukset antavat työkaluja näihin kysymyksiin vastaamiseen. Ne voivat velvoittaa toimittajat ilmoittamaan sinulle määritellyissä aikarajoissa, jakamaan lokeja, tukemaan tutkimuksia, osallistumaan koordinoituun viestintään ja vastaamaan asianmukaisista kustannuksista.

Heikot sopimukset jättävät nämä kohdat neuvottelemisen paineen alle, mikä johtaa usein hitaampaan reagointiin ja suurempaan epävarmuuteen. Sopimusehtojen käsitteleminen osana turvallisuus- ja tietoturvaloukkausten suunnittelua paikataan tätä kuilua. Liite A.5.20 edellyttää, että ilmaiset nämä odotukset selkeästi sen sijaan, että luottaisit oletuksiin tai hyvän tahdon varaan.

Varaa demo

Mitä ISO 27001:2022 -standardin liite A.5.20 todellisuudessa vaatii

ISO 27001:2022 -standardin liite A.5.20 edellyttää, että määrittelet ja sovit asiaankuuluvat tietoturvavaatimukset jokaisen toimittajan kanssa ja sisällytät nämä vaatimukset sopimuksiisi. Käytännössä tämä tarkoittaa toimittajien riskinarviointien yhdistämistä konkreettisiin lausekkeisiin sen sijaan, että ne jätettäisiin sisäisiksi muistiinpanoiksi. Pelien osalta tämä tarkoittaa sen varmistamista, että studio-, alusta- ja maksusopimukset todella vastaavat tapaa, jolla odotat niiden suojaavan pelaajatietoja ja pelitoimintoja.

Liitteen A.5.20 selkokielinen näkymä

A.5.20 ymmärretään parhaiten seuraavasti: ”Tee toimittajien turvallisuusodotukset selkeiksi, riskiperusteisiksi ja sopimusperusteisiksi”. Muunnat kunkin toimittajan riskeistä saamasi tiedon kirjallisiksi velvoitteiksi, joihin voit myöhemmin luottaa. Osoitat myös auditoijille, että pidät odotukset asianmukaisina palveluiden ja lakien muuttuessa.

Lyhyen nimilapun takana on kolme keskeistä odotusta:

Määrität, mitkä tietoturva- ja yksityisyyden suojatoimet ovat olennaisia kullekin toimittajalle.
Rakennat nämä odotukset sitoviksi sopimuksiksi, aikatauluiksi tai tietojenkäsittelyehdoksi.
Pidät nämä vaatimukset ajan tasalla palveluiden, riskien ja lakien muuttuessa.

Standardi välttää tarkoituksella määrittelemästä kiinteää lausekeluetteloa, koska se edellyttää riskiperusteista toimintaa. Freelance-konseptitaiteilija saa hyvin erilaiset velvoitteet korttitietoja käsittelevältä maksuyhdyskäytävältä. Tärkeää on, että pystyt osoittamaan selkeän rajan "tämä on riski" -lausekkeiden "näin sovimme" ja "näin tarkistamme" -lausekkeiden välillä.

Miten A.5.20 kytkeytyy muuhun tietoturvanhallintajärjestelmääsi

A.5.20 yhdistää sisäisen toimittajariskityösi kolmansien osapuolten kanssa allekirjoittamiisi todellisiin ehtoihin. Se toimii siltana riskirekisterien ja sopimusten välillä ja varmistaa, että todelliset sopimuksesi vastaavat ilmoitettua riskinottohalukkuuttasi. Tietoturva-, yksityisyys- ja tarkastustiimien kannalta tämä yhteys on se, missä teoriasta tulee käytäntö.

Se ei toimi eristyksissä. Se on tiiviisti yhteydessä muihin toimittajien ja operatiivisiin kontrolleihin. Esimerkiksi toimittajien valintaan ja valvontaan liittyvät kontrollit kattavat sen, miten arvioit ja tarkastelet kolmansia osapuolia, kun taas pilvi- ja tekniset kontrollit kattavat sen, miten järjestelmät tulisi käytännössä suojata. A.5.20-kohdassa nämä näkemykset muutetaan eksplisiittisiksi velvoitteiksi.

Kun tilintarkastajat testaavat tätä, he valitsevat tyypillisesti toimittajien otoksen ja seuraavat ketjua: riskinarviointi, sopimus, seurantatodisteet ja mahdolliset korjaavat toimenpiteet. Tämä on paljon helpompi osoittaa, kun tietoturvajärjestelmäsi, sopimuskirjastosi ja toimittajarekisterisi pidetään synkronoituna sen sijaan, että ne olisivat hajallaan postilaatikoissa ja tiedostojakoissa.

Olemassa olevien mallien mukauttaminen nollasta aloittamisen sijaan

Useimmilla pelialan organisaatioilla on jo vakiomallit studiosopimuksille, julkaisusopimuksille ja maksupalveluntarjoajille. Käytännön kysymys on, miten ne saadaan yhdenmukaisiksi liitteen A.5.20 kanssa menettämättä kovalla työllä saavutettuja kaupallisia asemia tai viivästyttämättä lanseerauksia. Systemaattinen kuiluanalyysi toimii yleensä parhaiten.

Käytännöllinen lähestymistapa on kartoittaa nykyiset lausekkeesi yksinkertaista A.5.20-tarkistuslistaa vasten: määritteletkö laajuuden ja roolit, tekniset ja organisatoriset toimenpiteet, tapausten käsittelyn, tarkastusoikeudet, tietosuojan, alihankinnan ja irtisanomisvelvoitteet? Jos ilmenee aukkoja tai epämääräisiä ilmaisuja – kuten "soveltaa alan parhaita käytäntöjä" ilman tarkempia tietoja – voit sitten tiukentaa tai laajentaa kyseisiä osioita.

Tällä tavalla toimittaessa kunnioitetaan sopimusneuvottelujen todellisuutta. Lisäät selkeyttä ja kattavuutta siellä, missä sillä on eniten merkitystä, sen sijaan, että jokainen sopimus täyttyisi yleisluontoisella turvallisuustekstillä, jota kukaan ei valvo.

Toimittajakriittisyyden mukainen erottaminen

Toimittajien eriyttäminen kriittisyyden mukaan antaa sinulle mahdollisuuden olla tiukka siellä, missä sillä on merkitystä, lamauttamatta kuitenkaan päivittäistä työtä. Käytät yksityiskohtaisempia ehtoja siellä, missä saatavuus ja vaikutus ovat suurimmat, ja pidät asiat kevyempinä siellä, missä riskit ovat rajalliset. Tämä riskiperusteinen lähestymistapa on keskeinen ISO 27001 -standardin ja pelikehityksen ketteryyden kannalta.

Riskiperusteinen malli luokittelee toimittajat tasoille niiden käyttöoikeuksien ja vaikutuksen perusteella – esimerkiksi "korkea" niille, jotka voivat vaikuttaa live-pelien toimintaan tai maksujen käsittelyyn, "keskitaso" niille, jotka käsittelevät joitakin pelaajatietoja, mutta eivät ole kriittisellä polulla, ja "matala" niille, jotka eivät käsittele lainkaan arkaluonteisia tietoja. Tyypillisiä esimerkkejä voisivat näyttää tältä:

Taso	Tyypillinen käyttöoikeus	Esimerkkikäsittely
Korkea	Todennus, maksut, keskeiset live-ops-työkalut	Täydellinen A.5.20-paketti, vahvat takuuehdot
Keskikova	Analytiikka, markkinointityökalut pelaajatunnisteilla	Peruslausekkeet ja kohdennetut lisäpalvelut
Matala	Taidekauppiaat, agentuurit ilman järjestelmän käyttöoikeutta	Kevyt turvallisuuskieli, selkeä laajuus

Liitettä A.5.20 sovelletaan sitten suhteellisesti: kaikille tasoille asetetaan joitakin peruslausekkeita, kun taas korkeammille tasoille asetetaan yksityiskohtaisempia aikatauluja ja varmistusodotuksia. Tämä suhteellisuus on tärkeää sekä ISO 27001 -standardin että kaupallisen ketteryyden kannalta, ja se vakuuttaa myös muille kuin asiantuntijoille, että heidän ei tarvitse asettaa "kriittisten toimittajien" ehtoja jokaiselle pienelle toimittajalle.

Sopimuksen elinkaaren hallinta kohdan A.5.20 mukaisesti

A.5.20-standardin hyvä hallinta tarkoittaa toimittajasopimusten käsittelyä tietoturvanhallintajärjestelmän elävinä osina kertaluonteisten sopimusten sijaan. Niitä tarkastellaan uudelleen, kun palvelut, riskit tai sääntelyodotukset muuttuvat. Tämä kurinalaisuus vähentää yllätyksiä ja helpottaa tulevia auditointeja huomattavasti.

Kun sopimuslausekkeet on otettu käyttöön, niiden on pysyttävä todellisuuden vauhdissa. Toimittajien palvelut kehittyvät, pelejä julkaistaan uusilla alueilla, dataa siirtyy uusiin ympäristöihin ja lait muuttuvat. Sopimusten uudelleentarkastelun laukaisevia tekijöitä voivat olla laajuuden muutokset, merkittävät ongelmat, uudet pelaamiseen tai maksuihin vaikuttavat sääntelyvaatimukset tai merkittävät muutokset toimittajan omistussuhteissa tai tietoturvatilanteessa. Näiden tarkistuspisteiden sisällyttäminen tietoturvan hallintaprosesseihisi – esimerkiksi vaiheina muutoshallinnassa tai toimittajien arviointityönkulussa – auttaa välttämään yllätyksiä.

Tässä ISMS.onlinen kaltainen alusta voi tukea sinua linkittämällä toimittajatiedot, riskinarvioinnit, sopimusversiot ja tarkistuspäivämäärät yhteen paikkaan. Tämä helpottaa huomattavasti vastaamista kysymyksiin, kuten "millä korkean riskin toimittajilla on yli kolme vuotta vanhoja sopimuksia?" tai "millä maksupalveluntarjoajilla ei ole vielä päivitetty sopimuslausekkeitaan uusien todennussääntöjen mukaisiksi?", ilman, että sinun tarvitsee kaivaa läpi useita järjestelmiä.

ISMS.online antaa sinulle 81 %:n etumatkan heti sisäänkirjautumisestasi lähtien.

ISO 27001 helposti

Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.

Aloita

Verkkopelaamisen ja pelin sisäisten maksujen ainutlaatuinen riskiprofiili

Verkkopelaaminen ja pelien sisäiset maksut tekevät liitteestä A.5.20 etulinjan kontrollin, koska ne yhdistävät korkean arvon kohteita, nopeasti kehittyviä talouksia ja tiiviisti toisiinsa kytköksissä olevia toimittajia. Et osta vain geneerisiä toimisto-ohjelmistoja; sinäkin järjestät reaaliaikaisia talouksia, reaaliaikaisia sisällönpäivityksiä ja globaalia pelaajavuorovaikutusta kolmansien osapuolten kautta, joten sopimuspuutteista kyseisessä ympäristössä tulee nopeasti turvallisuus-, petos- tai sääntelyongelmia.

Toimittajasopimukset, jotka jättävät nämä yksityiskohdat huomiotta, jättävät sinut alttiiksi tavoilla, jotka ISO 27001 -standardin, sääntelyviranomaisten ja alustanomistajien keskuudessa yhä enemmän kiinnostavat.

Miksi mikromaksut ja virtuaalivaluutat nostavat panoksia

Mikromaksut ja virtuaalivaluutat nostavat panoksia, koska ne houkuttelevat petoksia ja väärinkäytöksiä ja herättävät syvempää sääntelyyn liittyvää kiinnostusta. Suuret määrät pieniä, ilman korttia suoritettavia maksuja ja vaihdettavia tuotteita luovat otollisen ympäristön hyökkääjille ja talousrikollisuudelle. Tämä tarkoittaa, että maksusopimuksissasi on sanottava enemmän kuin "noudatamme sääntöjä".

Mikromaksuihin perustuvat pelit tuottavat valtavan määrän pieniä, ilman korttia suoritettavia tapahtumia. Tämä kaava on houkutteleva rikollisille, jotka haluavat testata varastettuja kortteja, väärinkäyttää takaisinperintäprosesseja tai pestä varoja virtuaalisten hyödykkeiden avulla. Maksupalveluntarjoajat, petostyökalut ja lompakkopalvelut kantavat siksi merkittävän riskin, vaikka ne asettavatkin itsensä kantamaan suuren osan turvallisuustaakasta.

Sopimustesi tulisi heijastaa tätä todellisuutta. Niissä on määriteltävä, miten petosten havaitseminen ja ehkäiseminen hoidetaan, mitkä kynnysarvot ovat hyväksyttäviä ennen lisätoimenpiteiden käyttöönottoa, kuka kantaa minkäkin osuuden tappioista ja millaista raportointia ja tiedonjakoa tapahtuu. Ilman tätä selvyyttä saatat vasta jälkikäteen huomata, että palveluntarjoajasi valvonta on heikompaa kuin oletit tai että he pitävät tiettyjä tappioita "sinun ongelmanasi".

Virtuaalivaluutat ja -esineet, joilla voi käydä kauppaa tai joilla voi lunastaa rahaa, herättävät lisää ongelmia. Rahanpesun vastaiset säännöt, uhkapeleihin liittyvät määräykset ja kuluttajansuojaan liittyvät näkökohdat muokkaavat kaikki sitä, miten sinun ja toimittajiesi tulisi toimia. Liite A.5.20 kehottaa sinua sisällyttämään nämä odotukset nimenomaisesti sopimuksiin sen sijaan, että luottaisit korkean tason toimintaperiaatteisiin, ja vahvistamaan lakimiestiimien kanssa, mikä on asianmukaista kussakin lainkäyttöalueella.

Sisältö-, alusta- ja työkalukumppanit tietoturvatoimijoina

Sisältö-, alusta- ja työkalukumppanit toimivat tietoturvatoimijoina, koska heidän koodinsa ja infrastruktuurinsa sijaitsevat usein kriittisellä polullasi. Ne vaikuttavat luottamuksellisuuteen, eheyteen ja saatavuuteen, vaikka ne eivät brändäisikään itseään "tietoturvatoimittajiksi". A.5.20 antaa sinulle vivun muuttaa tämä vaikutus kirjallisiksi vastuiksi.

Kaikki korkean riskin toimittajat eivät kuulu maksupinoon. Huijauksenestojärjestelmät, analytiikka-alustat, live-ops-työkalut, sisällönjakelu ja pilvipalvelut suorittavat kaikki koodia tai ylläpitävät infrastruktuuria, joka on olennaista pelisi eheyden ja suorituskyvyn kannalta. Heillä on usein syvällinen pääsy pelaajien telemetriaan ja tunnisteisiin, ja joissakin tapauksissa he voivat käyttää agentteja pelaajien laitteilla.

Jos näiden kumppaneiden kanssa tehdyissä sopimuksissa sanotaan vain vähän turvallisesta kehityksestä, päivityskanavista, lokien kirjaamisesta, käyttöoikeuksien hallinnasta, tietojen minimointiin tai peukaloinnin estämisestä, luotat käytännössä brändisi ja pelaajiesi kokemuksen heihin pelkästään hyvän tahdon perusteella. Tämän tason ongelmat voivat johtaa tietojen vuotamiseen, huijausepidemioihin, sisältövuotoihin tai pitkittyneisiin käyttökatkoihin, jotka kaikki liittyvät peliisi.

Liite A.5.20 edellyttää, että muunnat nämä tekniset ja yksityisyyteen liittyvät näkökohdat sopimusehdoksi. Tämä tarkoittaa sen miettimistä, miten koodi allekirjoitetaan ja jaetaan, miten muutokset testataan ja mitä peruutetaan, mikä telemetrian taso on hyväksyttävä, kuinka kauan tietoja säilytetään ja millä ehdoilla tietoja voidaan jakaa tai käyttää muihin tarkoituksiin. Nämä ovat pelikohtaisia kysymyksiä, eivät yleisiä IT-ulkoistamisen yksityiskohtia, ja ne ovat tärkeitä sekä tietoturvapäälliköille että yksityisyydensuoja-/lakitiimeille.

Käyttöaika, volatiliteetti ja live-operaatioiden realiteetit

Live-operations-realiteetit tekevät saatavuuslausekkeista ja viestintätehtävistä kriittisiä, eivätkä "mukavia". Lyhyillä käyttökatkoksilla keskeisten tapahtumien aikana voi olla suhteeton vaikutus tuloihin ja maineeseen. A.5.20-kohdassa varmistetaan, että toimittajat jakavat tämän sietokyvyn taakan.

Live-ops-mallit keskittävät riskin tiettyihin aikakausiin: uusien kausien lanseerauksiin, tärkeimpien sisältöjen julkaisuihin, kilpailutapahtumiin ja markkinointikampanjoihin. Jos avaintoimittajilla ei ole selkeitä sopimuksiin kirjattuja käyttöaika-, kapasiteetti- ja viestintävelvoitteita, osittaisella käyttökatkoksella näiden aikakausien aikana voi olla ylimitoitettuja kaupallisia ja maineeseen liittyviä vaikutuksia.

Liitteen A.5.20 näkökulmasta kyse on siitä, että varmistetaan saatavuus- ja jatkuvuusvaatimusten esiintyminen sopimuksissa tavalla, joka vastaa riskinottohalukkuuttasi. Voit esimerkiksi vaatia tiettyjä sisällön- tai maksutoimittajia täyttämään määritellyt käyttöaikaprosentit, kriittisten tapahtumien vasteajat ja eskalointipolut julkaisujen ja tapahtumien aikana.

Tilintarkastajat eivät välttämättä sanele tarkkoja lukuja, mutta he odottavat näkevänsä, että olet ajatellut näitä skenaarioita ja että sopimukset tekevät toimittajista osan ratkaisua passiivisten tarkkailijoiden sijaan. Tämä odotus kasvaa entisestään, jos pelisi liittyvät säänneltyihin toimintoihin, kuten oikean rahan pelaamiseen tai tiukasti valvottuihin mainontamalleihin, joissa sekä hallitustason sidosryhmät että sääntelyviranomaiset kysyvät, miten olet varmistanut kestävyyden.

Rajat ylittävä pelaaminen ja tiedonsiirto

Rajat ylittävä toiminta ja tiedonsiirto tarkoittavat, että toimitussopimuksesi on oltava samanaikaisesti useiden lakien ja säännösten mukaisia. Jos rekisterinpitäjän ja käsittelijän roolit, siirtomekanismit ja yksityisyyden suojatoimet puuttuvat, uusien alueiden lanseeraukset voivat pysähtyä viime hetkellä. A.5.20 kannustaa sinua käsittelemään nämä ongelmat jo sopimusprosessin alkuvaiheessa.

Menestyksekkäimmät nettipelit palvelevat pelaajia useilla alueilla, mikä usein tarkoittaa tiedonsiirtoa maiden ja oikeusjärjestelmien välillä. Alueelliset julkaisukumppanit, paikalliset maksupalveluntarjoajat, hajautettu hosting ja sisällönjakelu kaikki osaltaan monimutkaistavat tätä palvelua.

Valvonnan näkökulmasta liite A.5.20 liittyy yksityisyyden suojaan ja tiedonsiirtoon liittyviin velvoitteisiin. Pelaajatietoja käsittelevien toimittajien kanssa tehtävien sopimusten on heijastettava paitsi omia turvallisuusstandardejanne myös niiden lainkäyttöalueiden sääntöjä, joissa pelaajanne asuvat ja joissa tietoja säilytetään tai niitä käytetään. Tämä sisältää tyypillisesti rekisterinpitäjän ja käsittelijän roolien määrittelyn, käyttötarkoitusten rajoittamisen, siirtomekanismien kuvaamisen ja asianmukaisten suojatoimien varmistamisen. Lakitiimien tulee aina varmistaa, että valitut mekanismit ja sopimustekstit vastaavat paikallisia vaatimuksia.

Tämän ulottuvuuden huomiotta jättäminen voi johtaa viime hetken viivästyksiin, kun lakiasiaintiimit lykkäävät suunniteltua lanseerausta tai integraatiota puuttuvien perussopimusehtojen vuoksi. Asian käsitteleminen varhain osana A.5.20-lähestymistapaa vähentää kitkaa myöhemmin ja tekee vaatimustenmukaisuustasostasi johdonmukaisemman sekä tilintarkastajille että tietosuojavaltuutetuille.

Sopimuskeskeinen kehys A.5.20-vaatimustenmukaisuutta varten

Sopimuskeskeinen lähestymistapa tekee A.5.20:sta hallittavan muuttamalla "muista lisätä tietoturvalausekkeet" -vaatimuksen jäsennellyiksi, toistettaviksi malleiksi. Sen sijaan, että laatisit asiakirjat joka kerta tyhjästä, suunnittelet toimittajaluokkiin ja riskeihin liittyviä vakiopositioita, upotat ne tietoturvanhallintajärjestelmiisi, hankinta- ja lakiasioiden työnkulkuihisi ja annat tietoturvajohtajille, tietosuojavastaaville, ammattilaisille ja vaatimustenmukaisuuden Kickstarter-jäsenille yhteisen käsikirjan, jota jopa ei-asiantuntijat voivat seurata.

Sopimusten selkeys estää usein sekaannuksia jo kauan ennen kuin välikohtauksia edes tapahtuu.

Toimittajatyypin mukaisen riskiaihematriisin rakentaminen

Toimittajatyypin ja riskiaiheen mukainen matriisi antaa sinulle yksinkertaisen ja yhteisen kuvan siitä, miltä "hyvän" tulisi näyttää kunkin kumppanikategorian kohdalla. Se auttaa turvallisuus-, laki- ja kaupallisia tiimejä sekä vaatimustenmukaisuuden Kickstarter-ryhmiä yhdenmukaistamaan nopeasti lausekkeiden odotukset sisällön, toiminnan, infrastruktuurin ja maksujen osalta.

Käytännöllinen tapa aloittaa on yksinkertaisella matriisilla. Listaa toiselle akselille tärkeimmät toimittajatyypit: sisältö ja studiot, live-opit ja työkalut, infrastruktuuri ja hosting, maksut ja lompakot, petokset ja KYC, markkinointi- ja mainosteknologia, analytiikka ja telemetria, tuki ja moderointi. Listaa toiselle akselille keskeiset riskiaiheet: käyttöoikeudet ja identiteetti, tietosuoja, turvallinen kehitys, tapausten käsittely, valvonta ja auditointi, käyttöaika ja sietokyky, alihankinta sekä poistuminen ja tietojen palautus.

Tämä esimerkkimatriisi näyttää, miten toimittajatyypit linkittyvät riskiaiheisiin ja lausekkeiden teemoihin:

Toimittajan tyyppi	Ensisijaiset riskiaiheet	Esimerkki lausekkeen keskittymisestä
Sisältö / studiot	Koodin eheys, IP, tietosuoja	Turvallinen kehitys, IP-suojaus, häiriöilmoitus
Live-operaatiot / työkalut	Käyttöoikeudet, muutostenhallinta, telemetria	Pääsyoikeuksien hallinta, lokien kirjaaminen, palautustehtävät
Hosting / infrastruktuuri	Saatavuus, suojauskonfiguraatio	Käyttöaikasopimukset, korjauspäivitykset, valvonta
Maksut / lompakot	Petos, tietoturva, vaatimustenmukaisuus	Sertifioinnit, petosten jakaminen, takaisinperinnät
Petos / KYC	Henkilöllisyys, rahanpesu, pakotteet	KYC-tarkastuksen laajuus, kirjanpito, eskalointi

Jokaiselle leikkauspisteelle päätät, mikä on oletusarvoinen odotuksesi eri riskitasoilla. Tästä matriisista tulee lausekekirjastosi pohja. Jokainen solu linkittää yhteen tai useampaan kappaleeseen vakiokieltä, jota voidaan mukauttaa yksittäisiin sopimuksiin. Tämä lähestymistapa on rauhoittava niille vaatimustenmukaisuuteen keskittyville Kickstarter-harjoittajille, jotka eivät ole kokeneita: sinun ei tarvitse keksiä kaikkea itse; aloitat selkeästä ruudukosta ja tiukentat sitä ajan myötä.

Visuaalinen: matriisikaavio, joka näyttää toimittajatyypit toisella puolella ja keskeiset riskiaiheet yläosassa sekä lausekkeiden teemat soluissa.

Lausekirjaston käsitteleminen elävänä tuotteena

Lausekekirjaston käsitteleminen elävänä tuotteena pitää sen ajan tasalla muuttuvien pelien, määräysten ja toimittajien käytäntöjen kanssa. Jonkun organisaatiossasi on otettava siitä vastuu, seurattava muutoksia ja edistettävä parannuksia todellisen palautteen perusteella. Tämä omistajuus vakuuttaa tietohallintojohtajille ja lakitiimeille, että viitekehys ei jää paikoilleen.

Kun sinulla on matriisi ja alustavat lausekkeet, ne tarvitsevat aktiivista hallintaa. Kehykset ja määräykset kehittyvät, samoin kuin pelisi ja rahaksi tekoälymallisi. Jonkun on omistettava kirjasto, seurattava muutoksia, hyväksyttävä päivitykset ja tiedotettava niistä niitä käyttäville tiimeille.

Tämä on hyvin samanlaista kuin tuotteen hallinta. Keräät palautetta käyttäjiltä – lakimiehiltä, tietoturva-arkkitehteiltä, kaupallisilta liideiltä – siitä, mitkä lausekkeet aiheuttavat kitkaa, mitkä ovat olennaisia ja mitkä harvoin hyväksytään. Seuraat muutoksia ISO 27001 -standardissa, tietosuojasäännöissä, maksustandardeissa ja alustakäytännöissä ja mukautat kirjastoa vastaavasti.

Tietoturvallisuuden hallintajärjestelmäalusta, kuten ISMS.online, voi tukea tätä tallentamalla hyväksyttyjä lausekkeita, linkittämällä ne tiettyihin kontrolleihin ja riskeihin sekä kirjaamalla uusien versioiden käyttöönoton. Tämä antaa sekä toiminnallista joustavuutta että seurantaketjun lähestymistavan kehittymisestä, mikä on houkuttelevaa sekä hallituksille että tilintarkastajille raportoiville tietoturvajohtajille.

Viitekehyksen upottaminen vastaanotto- ja hyväksyntäprosessiin

Viitekehyksen upottaminen normaaleihin vastaanotto- ja hyväksymisprosesseihin varmistaa, että ihmiset todella käyttävät sitä. Tavoitteena on tehdä jäsennellystä ja vaatimustenmukaisesta polusta helpoin reitti, jotta kiireiset tiimit eivät laadi yksittäisiä lausekkeita erillään muista.

Vastaanoton yhteydessä tiimien tulisi vastata pieneen määrään jäsenneltyjä kysymyksiä: minkä tyyppinen toimittaja tämä on, mihin he käyttävät palvelujaan, kuinka kriittisiä he ovat ja millä alueilla he toimivat? Nämä vastaukset vastaavat riskitasoja ja suositeltuja lausekepaketteja. Turvallisuus- ja lakiosasto tarkastelevat sitten poikkeukset sen sijaan, että he laatisivat asiakirjan tyhjältä sivulta.

Voit tehdä tästä hallittavan yksinkertaisella sarjalla:

Vaihe 1 – Luokittele toimittaja

Tallenna tyyppi, käyttöoikeustaso, alueet ja yrityksen omistaja lyhyessä lomakkeessa.

Vaihe 2 – Käytä oletuslausekepakettia

Valitse suositeltu lausekepaketti matriisin perusteella ja muuta sitä vain, jos riski oikeuttaa sen.

Vaihe 3 – Reititys hyväksyntöihin

Lähetä luonnos turvallisuus- ja lakiosaston kautta riskialttiiden toimittajien osalta ja kirjaa hyväksytyt poikkeukset.

Hyväksyntäprosessien avulla voidaan varmistaa, että korkean riskin toimittajat saavat aina kaikki A.5.20-kohtaan liittyvät lausekkeet, kun taas matalamman riskin toimittajat saavat vain rajoitetun joukon. Tämän integrointi ostopyyntöihin tai sopimusten hyväksyntään jo käyttämiisi työkaluihin vähentää tiimien kiusausta siirtyä "kirjan ulkopuolelle".

Käyttöönoton ja tehokkuuden mittaaminen

Viitekehyksesi käyttöasteen ja sen suorituskyvyn mittaaminen antaa johtajille ja tilintarkastajille puolustettavan näkökulman. Se myös kertoo ammattilaisille ja Compliance Kickstarter -jäsenille, missä kannattaa parantaa seuraavaksi.

Jotta tiedät, suojaako kehyksesi sinua todella, tarvitset yksinkertaisia mittareita. Esimerkkejä ovat vakiolausekepakettien kattamien toimittajien prosenttiosuus, tehtyjen ja hyväksyttyjen poikkeusten määrä, sellaisten sopimusten ikä, joita ei ole äskettäin tarkistettu, ja niiden toimittajien osuus, joilla on selkeät häiriöilmoitusehdot.

Nämä luvut voidaan raportoida muiden tietoturvallisuuden hallintajärjestelmien (ISMS) mittareiden, kuten riskienhallintasuunnitelmien tilan tai tapaturmatilastojen, rinnalla. Kun tilintarkastajat tai johtajat kysyvät: "Mistä tiedämme, että toimittajasopimukset ovat hallinnassa?", voit vastata sekä kertomuksella että datalla.

Keskitetty alusta auttaa. Jos käytät ISMS.online-järjestelmää toimittajatyyppien, riskitasojen, lausekkeiden käytön ja hyväksyntöjen tallentamiseen, näiden mittareiden luominen on helppoa eikä vaivalloista manuaalista toimenpidettä, ja ne syötetään suoraan hallitustason kertomuksiin riskiensietokyvystä ja kolmansien osapuolten riskeistä.

Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.

Varaa esittelysi

Liitteen A.5.20 lausekkeiden suunnittelu pelisisällön toimittajille

Liitteen A.5.20 lausekkeiden suunnitteleminen pelialan sisällöntoimittajille tarkoittaa todellisten studio- ja työkalukäytäntöjen muuttamista selkeiksi ja täytäntöönpanokelpoisiksi odotuksiksi. Kirjaat, miten kumppanit kehittävät, testaavat, ottavat käyttöön ja käyttävät dataa, ja kirjoitat nämä odotukset molemmille osapuolille ymmärrettävälle kielelle. Näin tietoturvajohtajat, lakiasiainjohtajat, pelinjohtajat ja käytännön tietoturva-ammattilaiset voivat luottaa aiemmin epämuodolliseen toimintaan.

Pelialan sisällöntoimittajiin kuuluu ulkopuolisia studioita, yhteiskehityskumppaneita, live-ops-tiimejä, pelimoottorien ja väliohjelmistojen tarjoajia, lokalisointikumppaneita ja luovia toimistoja. Monilla heistä on pääsy lähdekoodiin, resursseihin, testiympäristöihin, telemetriaan tai jopa live-järjestelmiin. Liite A.5.20 edellyttää, että otat tämän todellisuuden huomioon sopimusten laatimisessa, ei vain sisäisissä käytännöissäsi.

Studio- ja live-ops-käytäntöjen muuttaminen täytäntöönpanokelpoisiksi ehdoiksi

Kiireisille tietoturva- ja insinöörialan ammattilaisille studio- ja live-ops-käytäntöjen muuttaminen täytäntöönpanokelpoisiksi ehdoiksi estää tietoturvakäyttäytymisen olemasta vain epämuodollinen "ymmärrys". Kuvailet, miltä hyvä näyttää, linkität sen tietoturvanhallintajärjestelmääsi ja luot seurauksia, jos vaatimuksia ei täytetä. Tämä muuttaa jokapäiväiset insinööriodotukset kirjallisiksi suojauksiksi, joihin voit nojata tarkastusten ja häiriötilanteiden aikana.

Useimmilla studioilla ja työkalutoimittajilla on jo käytössään keinoja turvallisen kehityksen, versionhallinnan, testauksen ja käyttöönoton varmistamiseksi. Sopimuksen tehtävänä on varmistaa, että nämä käytännöt ovat odotustesi mukaisia ja että niiden noudattamatta jättämisestä on seurauksia.

Saatat vaatia, että kehityksessä noudatetaan turvallisen koodauksen ohjeita, että koodi tallennetaan valvottuihin tietovarastoihin, että muutokset vertaisarvioidaan ja testataan ennen käyttöönottoa ja että ympäristöt erotellaan käyttötarkoituksen mukaan. Voit myös asettaa odotuksia siitä, kuinka nopeasti kriittiset haavoittuvuudet on korjattava ja missä olosuhteissa hätämuutoksia voidaan tehdä.

Näiden vaatimusten kirjoittaminen selkeällä ja teknologianeutraalilla kielellä auttaa molempia osapuolia. Kumppanisi tietävät, miltä "hyvä" näyttää, ja voit viitata sovittuihin ehtoihin, jos sinun on pyrittävä parannuksiin. Juuri tällaista konkreettista sisältöä liitteessä A.5.20 on pyritty pitämään mielessä.

Tietoroolien, telemetrian ja profiloinnin selkeyttäminen

Sopimuksissa selkeytettävien dataroolien, telemetrian ja profiloinnin avulla estetään hidas laajeneminen käyttötarkoituksiin, joita tietosuojailmoituksesi eivät ole koskaan odottaneet. Tietosuoja- ja lakiasioista vastaaville se osoittaa, että rekisterinpitäjän ja käsittelijän roolit, sallitut tarkoitukset ja säilytysrajoitukset otetaan asianmukaisesti huomioon. Tämä johdonmukaisuus vähentää sääntelyyn liittyvää riskiä.

Monet sisällöntuottajat tarvitsevat pelaajien käyttäytymisdataa tasapainottaakseen pelejä, säätääkseen vaikeustasoa, suorittaakseen tapahtumia tai havaitakseen väärinkäytöksiä. Samalla tietosuojasäännöt asettavat rajoituksia sille, miten näitä tietoja voidaan käyttää. Sopimuksissa tulisi mainita, toimiiko kukin osapuoli rekisterinpitäjänä vai käsittelijänä tietyille tietoluokille, mihin tarkoituksiin tietoja voidaan säilyttää, kuinka kauan tietoja voidaan säilyttää ja voidaanko niitä yhdistää muiden nimikkeiden tai asiakkaiden tietoihin.

Voit esimerkiksi sallia koottujen tilastojen käytön työkalun parantamiseksi, mutta kieltää tunnistettavien telemetriatietojen uudelleenkäytön epäolennaiseen mainontaan. Näiden rajojen määrittely vähentää hiljaisen soveltamisalan hiipimisen todennäköisyyttä, jossa toimittaja siirtyy vähitellen välttämättömästä telemetriasta laajempaan profilointiin, jota ilmoituksesi ja vaikutustenarviointisi eivät ennakoineet. Lakitiimit voivat sitten varmistaa, että lailliset perusteet, avoimuusilmoitukset ja rekisteröityjen oikeudet ovat linjassa näiden sopimusehtojen kanssa.

Tapahtumien käsittely, IPR-suojaus ja pienemmät toimittajat

Tietoturvaloukkausten käsittely ja immateriaalioikeuksien suojaus menevät usein päällekkäin sisällöntoimittajilla, erityisesti pienemmillä studioilla. Lausekkeidesi tulisi kattaa reagointimekanismit ja arkaluonteisten resurssien suojaustoimet, mutta niiden tulisi olla realistisia myös rajallisten resurssien omaaville kumppaneille. Tietoturvajohtajille ja ammattilaisille tämä tasapaino on avainasemassa käytännön käyttöönotossa.

Sisällöntoimittajien osalta häiriölausekkeiden on usein katettava sekä tietoturva että immateriaalioikeudet. Tietomurrot voivat sisältää lähdekoodivuotoja, julkaisemattomia resursseja tai taustajärjestelmän vaarantumista. Sopimuksissa tulisi siksi edellyttää nopeaa ilmoittamista, yhteistyötä tutkimuksissa, asiaankuuluvien lokien ja materiaalien säilyttämistä sekä tukea toimijoille, alustoille ja sääntelyviranomaisille koordinoiduilla toimilla.

Myös immateriaalioikeuksien suojatoimilla, kuten käyttöoikeusrajoituksilla, koodin escrow-vaihtoehdoilla, manipuloinnin estävillä velvoitteilla ja virheenkorjaustyökalujen tiukalla valvonnalla, voi olla turvallisuusulottuvuus. Ne vähentävät mahdollisuuksia pahantahtoisille sisäpiiriläisille tai ulkoisille hyökkääjille käyttää väärin etuoikeutettuja ominaisuuksia.

Pienemmille studioille tai taidemyyjille on ehkä löydettävä tasapaino. Tiukimpien mahdollisten ehtojen soveltaminen jokaiseen pieneen toimittajaan voi olla epärealistista. Vähimmäislähtötaso yhdistettynä selkeään parannussuunnitelmaan ja järkevään käyttöoikeuden laajuuteen on usein parempi kuin vaatia standardeja, joita toimittaja ei pysty täyttämään, ja sitten epävirallisesti luopua niistä.

Lyhyt tarkistuslista pelisisällön toimittajien pakollisista aiheista on hyödyllinen:

Lähdekoodin ja resurssien käyttöoikeuksien ja ympäristöjen erottelu.
Turvallisen kehityksen, testauksen ja käyttöönoton odotukset.
Tietoroolit, sallittu telemetria ja säilytysrajoitukset.
Tapahtumailmoitus, yhteistyö ja lokien säilytys.
IP-suojaus, peukaloinnin esto ja virheenkorjaustyökalujen käyttö.

Tästä tarkistuslistasta voi tulla oletusarvoinen tarkistuskehote uusille ja uusituille studio- tai työkalusopimuksille, jotta ammattilaiset eivät aloita tyhjältä sivulta joka kerta.

Liitteen A.5.20 lausekkeiden suunnittelu maksu- ja fintech-toimittajille

Maksu- ja finanssiteknologiatoimittajille tarkoitettujen liitteen A.5.20 lausekkeiden suunnittelussa on kyse sen varmistamisesta, että turvallisuuteen, petosten torjuntaan ja vaatimustenmukaisuuteen liittyvät lupauksesi kirjataan muistiin, eivätkä ne ole vain oletuksia. Nämä kumppanit toimivat siellä, missä pelaajien rahat kohtaavat pelisi, joten sääntelyviranomaiset, alustojen omistajat, tietoturvajohtajat, tietosuojavastaavat ja hallitukset kiinnittävät kaikki tarkkaa huomiota siihen, miten niitä hallinnoidaan.

Maksu- ja finanssiteknologiatoimittajat ovat siinä pisteessä, jossa pelaajien rahat kohtaavat pelisi. Näihin kuuluvat maksuyhdyskäytävät, paikalliset maksutapahtumien vastaanottajat, lompakko- ja kuponkitarjoajat, osta nyt, maksa myöhemmin -palvelut, petostentorjuntatyökalut ja joissakin liiketoimintamalleissa henkilöllisyyden ja iän varmennuspalvelut. Koska ne käsittelevät taloudellisia tietoja ja joskus myös varoja, odotukset ovat korkeammat ja tiukemmin säänneltyjä.

Turvallisuus- ja vaatimustenmukaisuusvelvoitteiden sisällyttäminen maksusopimuksiin

Turvallisuus- ja vaatimustenmukaisuusvelvoitteiden sisällyttäminen maksusopimuksiin varmistaa, että markkinointiväitteistä "korkeasta turvallisuudesta" tulee konkreettisia ja täytäntöönpanokelpoisia sitoumuksia. Tietoturvajohtajat huolehtivat siitä, että sietokyky ja valvonta ovat todellisia; yksityisyyden suojasta ja lakiasioista vastaavat tiimit huolehtivat siitä, että sitoumukset ovat linjassa ilmoitetun vaatimustenmukaisuustilanteesi kanssa. Sinä määrittelet, mitä standardeja sovelletaan, miten niitä ylläpidetään ja mitä todisteita odotat.

Maksupalveluntarjoajat väittävät usein tarjoavansa korkeatasoista turvallisuutta ja vaatimustenmukaisuutta, mutta liite A.5.20 edellyttää, että selvität, mitä tämä käytännössä tarkoittaa riskiprofiilisi kannalta. Sopimuksissa tulee selvästi mainita, mitä standardeja ja sääntöjä sovelletaan, kuten korttien turvallisuuskehykset, vahvan asiakkaan todennuksen vaatimukset tai rahoitusalan menettelysäännöt.

Voit vaatia palveluntarjoajia ylläpitämään asiaankuuluvia sertifikaatteja, osallistumaan säännöllisiin riippumattomiin arviointeihin ja toimittamaan sinulle yhteenvetoja havainnoista. Voit myös määritellä teknisiä vähimmäistoimenpiteitä, kuten tapahtumatietojen salauksen, arkaluonteisten tietojen tokenisoinnin, ympäristöjen eriyttämisen ja tukihenkilöstön vankan pääsynhallinnan.

Näillä yksityiskohdilla on merkitystä, kun asiat menevät pieleen. Jos tapahtuu vaaratilanne ja sinua pyydetään selittämään käyttämäsi toimenpiteet, kyky osoittaa tiettyjä sovittuja toimenpiteitä on painavampi kuin yleiset lausunnot "alan parhaista käytännöistä".

Petosten, takaisinperinnän ja asiakkaan tuntemisen vastuiden jakaminen

Petosten, takaisinperinnän ja asiakkaan tuntemisen vastuiden kirjallinen jakaminen estää ikäviä yllätyksiä tappiomallien muuttuessa. Selkeä työnjako myös vakuuttaa sääntelyviranomaisille, korttijärjestelmille ja alustojen omistajille, että ymmärrätte kuka tekee mitä ja milloin.

Petokset ja takaisinperinnät ovat väistämätön osa verkkomaksuja, mutta niiden käsittelytapa voi olla ratkaiseva tekijä hallittavien tappioiden ja vakavien seurausten välillä. Maksu- ja petospalveluntarjoajien kanssa tehtävissä sopimuksissa tulisi olla selkeästi määritelty, kuka asettaa ja valvoo kynnysarvoja, mitä analytiikkaa ja sääntöjen hienosäätöä tehdään ja mitä tapahtuu, kun suorituskyky jää sovittujen rajojen ulkopuolelle.

Jos peleihisi liittyy kotiutuksia, arvoesineitä tai muita rahanpesuun liittyviä huolenaiheita herättäviä toimintatapoja, henkilöllisyyden varmentaminen ja seuraamusten seulonta ovat keskeisiä. Sopimuksissa palveluntarjoajien kanssa, jotka ottavat osan tästä työstä hoitaakseen, on kuvattava, miten tarkastukset tehdään, miten vääriä positiivisia tuloksia käsitellään, mitä tietoja säilytetään ja miten saat tietoja tutkimusten aikana.

Alaikäiset pelaajat ja haavoittuvat käyttäjät lisäävät vielä yhden tason. Alustan säännöt ja paikalliset lait saattavat edellyttää ikärajoituksia, kulutusrajoja tai selkeitä hyvitysprosesseja. Maksu- ja rahaksi muuttamisen yhteistyökumppaneiden on käytettävä sopimusehtoja, jotka tukevat näitä velvoitteita sen sijaan, että ne toimisivat oletusten perusteella. Laki- ja vaatimustenmukaisuustiimit voivat sitten varmistaa, että järjestelyt ovat asianmukaisia kullakin alueella.

Vaihtoehtoiset kiskot, krypto- ja kokeelliset mallit

Vaihtoehtoiset maksujärjestelmät, digitaaliset resurssit ja kokeelliset mallit vaativat saman A.5.20-kurin kuin perinteiset maksutavat. Uutuus ei poista velvollisuuttasi määritellä turvallisuus- ja vaatimustenmukaisuusodotuksia sopimuksissa; se vain muuttaa sitä, mitä kysymyksiä sinun on esitettävä.

Monet pelialan yritykset kokeilevat vaihtoehtoisia maksutapoja, kuten tilien välisiä siirtoja, operaattorin laskutusta tai digitaalisia resursseja. Nämä mallit voivat tarjota kaupallisia etuja, mutta ne tuovat mukanaan myös uusia, joskus vähemmän tuttuja riskejä.

Liite A.5.20 ei kiellä innovaatioita. Siinä pyydetään sinua miettimään läpi asiaankuuluvat turvallisuus- ja vaatimustenmukaisuuskysymykset ja kirjaamaan ne sopimuksiisi. Tämä voi tarkoittaa sen määrittämistä, miten digitaalisen omaisuuden tarjoaja luo ja tallentaa yksityiset avaimet, miten volatiliteettia ja peruutuksia käsitellään tietyssä menetelmässä tai miten uusia sääntelykehityksiä seurataan ja otetaan huomioon.

Yksinkertainen "pakollinen" tarkistuslista maksu- ja fintech-toimittajille voi sisältää seuraavat asiat:

Sovellettavat standardit ja sertifikaatit, joita on ylläpidettävä.
Salaus, tokenisointi ja ympäristön erottelutoimenpiteet.
Petoskynnykset, seuranta- ja raportointiodotukset.
Takaisinperintö-, hyvitys- ja riitojenratkaisuvelvollisuudet.
KYC, sanktiot ja alaikäisten käyttäjien valvonta tarvittaessa.

Näiden toimittajien kohteleminen samalla kurinalaisella tavalla kuin perinteisempien maksukumppaneiden kanssa auttaa välttämään yllätyksiä sääntöjen tiukentuessa ja hallitusten esittäessä yksityiskohtaisempia kysymyksiä maksuriskitilanteestasi.

ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.

Varaa esittelysi

Sopimuslausekkeiden yhdistäminen ISO 27001 -standardin mukaisiin kontrolleihin ja määräyksiin

Sopimuslausekkeiden yhdistäminen ISO 27001 -standardin mukaisiin kontrolleihin ja määräyksiin antaa sinulle selkeän tavan osoittaa tilintarkastajille ja johdolle, että A.5.20 on hallinnassa. Sen sijaan, että kuvaisit lähestymistapaasi abstraktisti, voit osoittaa tarkalleen, miten lausekepaketit tukevat tiettyjä kontrolleja ja velvoitteita. Tämä helpottaa tietoturvajohtajien, tietosuojavastaavien, ammattilaisten ja vaatimustenmukaisuuteen liittyvien Kickstarter-jäsenten elämää.

Kun lausekkeet ovat käytössä, sinun on vielä osoitettava, miten ne täyttävät liitteen A.5.20 ja siihen liittyvät vaatimukset. Peliorganisaatioille, jotka valmistautuvat ISO 27001 -sertifiointiin tai valvonta-auditointeihin, tämä kartoitus on tehokas tapa osoittaa hallinta sen sijaan, että turvauduttaisiin epävirallisiin selityksiin.

Yksinkertaisen lausekkeen ja kontrollin välisen kartan luominen

Yksinkertainen lausekkeiden ja kontrollien välinen kartta yhdistää uudelleenkäytettävät lausekepaketit ISO-kontrolleihin, yksityisyyden suojaa koskeviin periaatteisiin ja toimialakohtaisiin odotuksiin. Se nopeuttaa sisäisiä tarkastuksia ja ulkoisia auditointeja ja vähentää subjektiivisuutta, ja antaa turvallisuus- ja lakitiimeille yhteisen kielen.

Käytännöllinen tekniikka on ylläpitää matriisia, joka listaa standardilausekkeet ja osoittaa, mitä ISO 27001- ja ISO 27002 -standardien mukaisia suojatoimia ne tukevat, sekä keskeiset yksityisyyden suojaa ja toimialakohtaisia velvoitteita. Esimerkiksi lauseke, joka edellyttää toimittajalta ilmoittamista poikkeamista tietyn ajan kuluessa ja yhteistyötä tutkimuksissa, voi liittyä tietoturvapoikkeamien hallintaan sekä liitteeseen A.5.20.

Tekemällä tämän uudelleenkäytettävien lausekepakettien tasolla yksittäisten sopimusten sijaan, voit välttää yksityiskohtien hukkumisen. Kun tilintarkastajat tai sisäiset tarkastajat tutkivat tiettyä toimittajaa, voit näyttää heille, mitä pakettia käytettiin, mitä kontrollitoimia se kattaa ja missä neuvotellut muutokset hyväksyttiin. Näin voit osoittaa A.5.20-vaatimustenmukaisuuden nopeasti sen sijaan, että rakentaisit logiikkasi uudelleen hajanaisista sopimuksista.

Tämä kartoitus auttaa myös sisäisesti. Turvallisuustiimit voivat nähdä, mitkä riskit on käsitelty sopimuksissa; lakitiimit voivat nähdä, mitkä lausekkeet ovat olennaisia vaatimustenmukaisuuden kannalta; ja yritysten omistajat voivat nähdä, miksi tietyt tehtävät eivät ole neuvoteltavissa.

Yksityisyyden ja maksuvelvollisuuksien yhdistäminen

Yksityisyyden ja maksuvelvollisuuksien yhdistäminen samaan lausekekarttaan estää niiden kohtelemisen erillisinä maailmoina. Se vakuuttaa yksityisyyden suojan, talouden ja oikeudelliset sidosryhmät siitä, että toimittajasopimukset vahvistavat heidän työtään sen sijaan, että heikentäisivät sitä. Tätä yhtenäistä näkemystä odotetaan yhä useammin sääntelyviranomaisten ja hallitusten odottavan.

Pelialan toimittajasopimukset sisältävät lähes aina sekä turvallisuuden että yksityisyyden suojan. Pelaajatietoja on käsiteltävä laillisesti, selkeisiin tarkoituksiin ja asianmukaisten oikeuksien ja suojatoimien mukaisesti. Maksutietojen on oltava taloudellisten ja korttijärjestelmien sääntöjen mukaisia. Liite A.5.20 tarjoaa tilaisuuden yhdistää nämä osatekijät.

Merkitsemällä lausekkeisiin viittauksia yksityisyyden suojaan liittyviin käsitteisiin, kuten rooleihin (rekisterinpitäjä vs. käsittelijä), laillisiin perusteisiin, rekisteröidyn oikeuksiin ja tiedonsiirtomekanismeihin, voit helpommin osoittaa tietosuojavastaaville ja sääntelyviranomaisille, että sopimuksesi tukevat ilmoitettua vaatimustenmukaisuusasennettasi. Saman tekeminen maksukohtaisille lausekkeille auttaa osoittamaan, ettet käsittele korttitietoturvaa tai vahvaa todennusta erillisinä, toisiinsa liittymättöminä aiheina.

Keskitetty tietoturvan hallintajärjestelmä voi helpottaa tätä huomattavasti, sillä sen avulla voit merkitä dokumentit ja toimittajat näillä ominaisuuksilla ja luoda raportteja pyynnöstä sen sijaan, että koko kerros rakennettaisiin uudelleen hajallaan olevista sähköposteista ja jaetuista kansioista. Tietoturvajohtajille ja hallituksen yleisölle tästä tulee osa laajempaa selviytymiskykyäsi: toimittajasopimukset eivät ole enää musta laatikko, vaan kartoitettu ja mitattu kontrollipinta.

Varaa esittely ISMS.onlinesta jo tänään

ISMS.online auttaa sinua muuttamaan liitteen A.5.20 epämääräisestä vaatimuksesta selkeäksi ja toistettavaksi toimittajien hallintaprosessiksi, joka sopii pelialan todellisuuteen. Yhdistämällä sisällön ja maksujen toimittajat, riskirekisterit, kontrollit ja sopimukset yhteen ympäristöön, teet paljon helpommaksi pitää sopimukset ISMS-järjestelmän mukaisina ja vastata tilintarkastajien ja johdon vaikeisiin kysymyksiin.

Käytännössä voit rekisteröidä pelisisällön ja maksujen toimittajat, määrittää riskitasot, liittää sopimuksia ja tietojenkäsittelysopimuksia sekä linkittää jokaisen suhteen asiaankuuluviin tietoturvanhallintajärjestelmän (ISMS) kontrolleihin ja riskeihin. Vakiomuotoiset lausekepaketit ja tarkistuslistat voidaan tallentaa ja versioida, joten uudet sopimukset alkavat ennalta hyväksytyltä sanamuodolta tyhjän sivun sijaan, ja poikkeuksia seurataan sen sijaan, että ne katoaisivat sähköpostiketjuihin.

Auditointien tai häiriötilanteiden sattuessa voit nopeasti vastata kysymyksiin, kuten "mitkä korkean riskin toimittajat kuuluvat tarkastuksen piiriin?", "mitä olemme heidän kanssaan oikeastaan sopineet?" ja "missä ovat puutteet ja korjaussuunnitelmat?". Tämän tasoista näkyvyyttä on vaikea saavuttaa ad hoc -työkaluilla, mutta juuri sitä liite A.5.20 ja nykyaikaiset kolmansien osapuolten riskiodotukset edellyttävät.

Jos haluat testata tätä sopimuslähtöistä lähestymistapaa muutamalla oikealla toimittajalla, voit käydä läpi lyhyen työsession käyttämällä omaa studioiden, alustojen, työkalujen ja maksukumppaneiden yhdistelmääsi. Tällä tavoin voit tutkia, miten ISMS.online tukee olemassa olevia prosessejasi teorian sijaan, ja saat selkeämmän kuvan siitä, miten toimittajasopimukset, riskinarvioinnit ja päivittäiset toiminnot voidaan yhdistää yhdeksi yhtenäiseksi ja auditoitavaksi kokonaisuudeksi organisaatiollesi.

Usein Kysytyt Kysymykset

Miten ISO 27001 A.5.20 -standardia tulisi soveltaa nopeasti muuttuviin pelialan toimittajasuhteisiin?

Sovitat A.5.20:n pelaamiseen määrittämällä toimittajaodotukset kerran ja käyttämällä niitä sitten uudelleen älykkäästi, jotta sopimukset etenevät nopeasti jättämättä aukkoja.

Miten pidämme sopimukset täsmällisinä tappamatta kaupantekonopeutta?

Paineen alla olevat tiimit käyttävät usein joko epämääräisiä sanamuotoja ("alan parhaat käytännöt") tai viime hetken paisuneita aikatauluja, joita kenelläkään ei ole aikaa lukea. Molemmat mallit hidastavat työtä ja jättävät silti riskit huomiotta.

Kestävämpi lähestymistapa on tehdä suhteellisuus on oletusarvo:

Määritellä kolme tai neljä toimittajatasoa jotka heijastavat sitä, kuinka paljon vahinkoa epäonnistuminen voisi aiheuttaa pelaajille, tuloille tai brändille (esimerkiksi ”live-optiot / maksut”, ”ydinpeli”, ”tuki / matala riski”).
Pidä jokaista tasoa kohden lyhyt, jäädytetty lausekepaketti kattaa laajuuden, turvallisuuden, yksityisyyden suojan, häiriöiden käsittelyn, valvonnan, alihankkijat ja poistumisen.
Lisää yksinkertainen imuvaihe Joten kaupalliset omistajat valitsevat tason etukäteen; laki- ja turvallisuusosastot virittävät vain reunatapauksia sen sijaan, että kirjoittaisivat ehdot uudelleen jokaiselle uudelle kumppanille.

Koska lähtötilanteesta on jo sovittu sisäisesti, neuvottelut keskittyvät miten toimittaja täyttää nuo standardit, ei onko niiden pitäisi olla olemassa. Kun nämä tasot, lausekepaketit, hyväksynnät ja tarkistuspäivämäärät sijaitsevat yhdessä ympäristössä, kuten ISMS.online, voit osoittaa auditoijille ja alustoille, että A.5.20 on muutettu toistettavaksi prosessiksi, joka tukee aggressiivisia julkaisupäivämääriä sen sijaan, että se suistaisi ne raiteiltaan.

Miten tämä liittyy tietoturvan hallintajärjestelmään tai liitteen L mukaiseen integroituun hallintajärjestelmään?

Tietoturvallisuuden hallintajärjestelmässä A.5.20 liittyy riskienkäsittelyyn, omaisuudenhallintaan ja tietoturvaloukkauksiin. Kun pelitoimittajasi tasot ja lausekepaketit yhdistetään nimenomaisesti liitteen A kontrolleihin ja tarkistetaan normaaleissa johdon tarkastuksissa, niistä tulee osa studiosi toimintaa, eikä erillinen oikeudellinen toimenpide. Jos myöhemmin laajennat hallintajärjestelmää integroituun hallintajärjestelmään, samat toimittajarakenteet voivat tukea jatkuvuutta, laatua ja yksityisyyden suojaa koskevia tavoitteita ilman uutta uudelleenrakentamista.

Miten voimme turvallisesti ottaa pieniä studioita ja itsenäisiä kumppaneita mukaan A.5.20-säännön mukaisesti?

Voit ottaa pienempiä kumppaneita mukaan turvallisesti pienentämällä kitkaa, äläkä rajoituksia: pidä keskeiset tietoturva- ja yksityisyysodotukset ennallaan, mutta ilmaise ne kielellä ja muodoissa, joita kymmenen hengen tiimi voi realistisesti soveltaa.

Miltä kevyt mutta vankka A.5.20-lähestymistapa näyttää itsenäisille kumppaneille?

A.5.20 on huolissaan siitä, että vaatimukset ovat olemassa, riskiperusteisia ja niitä valvotaan; se ei vaadi, että jokainen sopimus näyttää monimutkaiselta yrityksen pääpalvelusopimukselta. Luoville studioille, niche-työkalujen tarjoajille tai modaustiimeille toimiva malli on:

Käyttää selkokielinen ratsastaja joka kuvaa, mitä heidän on tehtävä käyttöoikeuksien valvonnan, korjauspäivitysten, tiedonkäsittelyn ja tapahtumien raportoinnin suhteen arkikielellä eikä tavallisella kielellä.
Kampanja vaiheittaiset sitoumukset tarvittaessa (esimerkiksi ”ota käyttöön monivaiheinen todennus hallintakonsoleissa kolmen kuukauden kuluessa”, ”pidä yksinkertaista muutoslokia pelipäivityksistä”), jotta he voivat täyttää vaatimuksesi poistumatta paikalta.
Jaa a lyhyt tarkistuslista tai kyselylomake keskustelujen alussa, jotta he tietävät, millä on merkitystä myöhemmin, sen sijaan, että he yllättyisivät juuri ennen sopimuksen allekirjoittamista.

Kun itsenäinen kumppani käsittelee henkilötietoja, maksutietoja tai laajamittaista pelaajien käyttäytymistä, tarvitset silti vankan rekisterinpitäjän/käsittelijän kielenkäytön ja mahdolliset sääntelyyn liittyvät velvoitteet. Ero on siinä, että nämä lausekkeet ovat lisälausekkeen päällä, jonka tiimi voi ymmärtää ja noudattaa. "Indie-ystävällisten" aikataulujen pitäminen raskaampien yrityspakettien rinnalla ISMS.online-sivustolla antaa tuottajille mahdollisuuden valita oikean vaihtoehdon nopeasti, samalla kun A.5.20-valvonta pysyy yhtenäisenä koko toimittajaverkostossasi.

Miten tämä liittyy yksityisyyden suojaan ja tekoälyn hallintaan?

Integroidussa hallintajärjestelmässä, joka kattaa tietoturvan, yksityisyyden ja kehittyvän tekoälyhallinnan, selkeä malli itsenäisille kumppaneille kannattaa kahdesti. Voit yhdenmukaistaa selkokieliset liiteasiakirjasi ISO 27701 -standardin ja tulevien tekoälykontrollien kanssa ja käyttää samoja toimittajan tietoja uudelleen osoittaaksesi, että jopa pienet sisältöä, työkaluja tai tekoälyavusteisia ominaisuuksia rakentavat tiimit kuuluvat johdonmukaisen odotusten joukon piiriin, joka kasvaa ajan myötä sen sijaan, että se pirstoutuisi.

Miten käsittelemme pelimoottoreita, alustoja ja "hyväksyn napsauttamalla" -ehtoja kohdan A.5.20 mukaisesti?

Käsittelet hakukoneita, sovelluskauppoja ja vastaavia klikkauspohjaisia sopimuksia rajoitettuina mutta vaikuttavina toimittajina: et ehkä pysty neuvottelemaan sanamuodoista, mutta päätät silti, ovatko heidän ehdot hyväksyttäviä roolissaan pelissäsi.

Mitä voimme realistisesti tehdä, kun emme pysty neuvottelemaan toimittajien ehdoista?

A.5.20 ei vaadi täydellisiä sopimuksia; se odottaa tietoon perustuvia päätöksiä, joita tukevat korvaavat toimenpiteetKäytännön ohjeita hakukoneille, myymälöille, pilvipalveluntarjoajille ja maksuyhdyskäytäville, joissa hyväksyt julkaistut ehdot, ovat muun muassa:

Tallenna ja tarkista heidän julkiset käyttöehtonsa: ja tietoturvadokumentaatio; kirjaa keskeiset sitoumukset, poikkeukset ja muutosilmoitusmekanismit omaa valvontajärjestelmääsi vasten.
Päätä, missä tarvitset kompensoivat kontrollit koska et voi muuttaa heidän ehtojaan – esimerkiksi vahvempaa salausta pelaajaluetteloiden ympärillä, verkon erottelua hallintatyökaluissa, tehostettua petostenvalvontaa tai datan minimointia ylävirran puolella, jotta arkaluonteiset tiedot eivät koskaan päädy kyseiseen ympäristöön.
Kirjaa arviosi muistiin riskienhallintasuunnitelma ja toimittajarekisteri, mukaan lukien miksi hyväksyit riskin, mihin kontrollimenetelmiin luotat ja milloin aiot tarkastella päätöstä uudelleen.

Joissakin tapauksissa saatat päätyä siihen tulokseen, että "ei-neuvoteltavissa oleva" alusta sopii varhaisille prototyypeille tai kosmetiikalle, mutta ei arvokkaille tuotteille, oikean rahan pelaamiselle tai nuoremmalle yleisölle. Kun analyysisi, live-ehdot ja lisäkontrollisi linkitetään yhteen toimittajan merkintään ISMS.online-sivustolla, voit antaa tilintarkastajille, alustoille ja sisäisille sidosryhmille selkeän ja johdonmukaisen vastauksen kysymykseen "miksi luotimme tähän klikkauspalveluun, jolla on niin keskeinen rooli live-pelissämme?".

Miten tämä tukee laajempaa tietoturvan ja integroidun hallinnan (IMS) näkemystä?

Hallintajärjestelmän näkökulmasta click-through-palvelut ovat vain yksi riskinlähde lisää. Jos tietoturvajärjestelmäsi tai integroitu hallintajärjestelmäsi sisältää strukturoituja toimittaja-arviointeja, muutoshallintaa ja säännöllisiä johdon arviointeja, näistä tiedoista tulee todiste siitä, että käsittelet "muokkaamattomia" sopimuksia samalla kurinalaisesti kuin täysin neuvoteltuja sopimuksia. Tämä vähentää yllätyksiä, kun sääntelyviranomaiset tai alustan tietoturvatiimit kysyvät, miten olet perustellut niiden käytön tietyissä tiloissa, nimikkeissä tai markkinoilla.

Miten meidän tulisi käsitellä alihankkijaketjuja ja neljännen osapuolen riskejä pelialalla?

Sinun tulisi kohdella alihankkijoita saman pinnan jatkeina, jota yrität suojata: A.5.20 edellyttää, että ymmärrät ainakin pääpiirteittäin, kuka on kriittisten kumppaniesi takana ja minkä tason tietoturvaa ja yksityisyyttä heidän odotetaan täyttävän.

Mikä on järkevä näkyvyystaso ilman, että kaikki viivästyy?

Peliohjelmistopinoihin liittyy usein erillisessä pilvipalvelussa toimivia huijauksenestotyökaluja, muihin petoskoneisiin perustuvia maksupalveluntarjoajia tai analytiikka-SDK:ita, jotka välittävät telemetriaa muille alustoille. Harvoin tarvitsee auditoida joka neljättä osapuolta, mutta tarvitaan puolustettava näkemys ketjusta:

Pyydä korkeamman riskin toimittajia paljastaa tärkeimmät alihankkijansa pelaajiasi tai ydinpelipalveluitasi koskettaviin hosting-, maksujen käsittely- ja analytiikkapalveluihin.
Tee sopimuksissa yksiselitteisesti maininta, että niitä on noudatettava vastaavat turvallisuus- ja yksityisyysstandardit kyseisiin alipalveluihin, pidä ajan tasalla olevaa luetteloa ja ilmoita sinulle ennen olennaisten muutosten tekemistä.
Lippu laajennetut ketjut toimittajarekisterissäsi, jotta he saavat perusteellisemman riskinarvioinnin, säännöllisiä suorituskykyarviointeja ja kohdennettuja tapahtumasimulaatioita sen sijaan, että heitä kohdeltaisiin yksinkertaisina, yhden toimittajan järjestelyinä.

Tällä tavoin käsiteltynä osoitat, että jokaisesta linkistä on aina nimetty vastuullinen osapuoli ja että kiinnität aktiivisesti huomiota tilanteisiin, joissa keskittyminen, monimutkaisuus tai geopoliittinen altistuminen lisää riskiäsi. Kun näkemyksesi alihankkijoista, tietovirroista ja velvoitteista yhdistetään ISMS.onlinen liitteen A kontrolleihin, riskirekistereihin ja liiketoiminnan jatkuvuussuunnitelmiin, voit vastata teräviin kysymyksiin, kuten "kuka oikeasti käsittelee pelaajatietojamme?" tai "mitkä pilvialueet tukevat tätä tapahtumaa?", pysäyttämättä jokaista kaupallista keskustelua lähtöviivalla.

Miten tämä sopii yhteen Annex L -integroidun johtamisjärjestelmän kanssa?

Liite L kannustaa jaettuihin rakenteisiin riskien, toimittajien hallinnan ja häiriöiden käsittelyn osalta eri osa-alueilla, kuten tietoturva, jatkuvuus ja laatu. Huolellisesti ylläpidettyä alihankkijoiden kuvaa voidaan käyttää uudelleen sietokykytavoitteiden, toimitusketjun varmuuden ja ESG-raportoinnin tukemiseen sen sijaan, että luotaisiin erillisiä luetteloita joka kerta, kun uusi standardi ilmestyy. Tämä vähentää väsymystä ja vahvistaa samalla asemaasi alustojen, sääntelyviranomaisten ja kumppaneiden keskuudessa.

Miten voimme estää A.5.20-standardin mukaisen toimittajien due diligence -periaatteen estävän pelien julkaisuja?

Estäät A.5.20:n estävän laukaisuja siirtämällä due diligence -ominaisuuden aiemmin elinkaaren aikana ja siitä tulee normaali osa tuotantosuunnittelua sen sijaan, että se olisi viime hetken este, joka ilmenee, kun markkinointi on jo sitoutunut päivämäärään ja budjettiin.

Millä käytännön toimilla turvallisuus ja yksityisyys pysyvät linjassa tuotannon kanssa?

Studiot, jotka suojaavat julkaisupäivämääriä täyttäen kuitenkin A.5.20-vaatimukset, tyypillisesti:

Lisää lyhyt, rooliin liittyvä tietoturva- ja yksityisyyskysely toimittajien hankintaan, mieluiten samalla alustalla, jolla on riskit ja sopimukset, joten ilmeiset varoitusmerkit nousevat esiin ennen kuin kumppani integroituu teknisesti tai luovasti.
Sido toimittajan luokittelu ja lausekepaketit projektin virstanpylväät – esimerkiksi korkean riskin kumppanit arvioitiin ja hyväksyttiin ennen alfa-versiota, uudet maksu- tai analytiikkapalveluntarjoajat suljettiin hyvissä ajoin ennen sertifiointia tai julkaisua edeltäviä tietoturvatarkastuksia.
Käyttää standardoidut kysymyssarjat ja vastaukset yleisille toimittajaluokille, kuten analytiikka-SDK:ille, identiteetin tarjoajille tai live-ops-toimittajille, jotta tuottajat ja lakiosasto voivat toimia nopeasti toistuvien kaavojen kohdalla sen sijaan, että he keksisivät tarkistuksia tyhjästä.

Kun nämä vaiheet on integroitu tietoturvallisuuden hallintajärjestelmään sen sijaan, että ne olisivat hajallaan laskentataulukoissa ja sähköpostiketjuissa, on paljon helpompi osoittaa ylemmille sidosryhmille, että suojaat molempia. pelaajien luottamus ja toimituspäivätISMS.online on rakennettu tukemaan tätä tasapainoa: tuottajasi, laki-, tietoturva- ja tietosuojavastaavasi voivat kaikki nähdä saman toimittajatietueen, riskiluokituksen, kyselyvastaukset ja sopimusliitteet, joten mahdolliset esteet nousevat esiin, kun on vielä aikaa mukauttaa laajuutta, vaihtaa palveluntarjoajaa tai vähentää tietoihin altistumista.

Miten tämä vähentää pitkän aikavälin operatiivista riskiä?

Tekemällä A.5.20-toiminnasta osan projektien vakiomuotoisia portteja, parannat myös toiminnan sietokykyä. Tulevat sisällön päivitykset, uudet tilat tai alueelliset lanseeraukset käyttävät luonnollisesti samoja tiedonkeruumalleja, riskiluokituksia ja lausekepaketteja. Tämä yhdenmukaisuus tukee selkeämpiä auditointeja, selkeämpiä toimittajien odotuksia ja vähentää yllätyksiä, kun uudet säännökset, kuten NIS 2 tai alueelliset tietosuojalait, tiukennetaan odotuksia kolmansien osapuolten valvontaan liittyen.

Kuinka A.5.20:n hallinta vahvistaa laajempaa tietoturvanhallintajärjestelmäämme tai integroitua johtamisjärjestelmäämme?

A.5.20:n hyvä hallinta vahvistaa tietoturvanhallintajärjestelmääsi ja kaikkia liitteen L mukaisia integroituja hallintajärjestelmiä, koska toimittajat ovat mukana lähes kaikissa tärkeissä tavoitteissa: pelaajatietojen suojaamisessa, käyttöajan varmistamisessa, reilun pelin mahdollistamisessa sekä sääntely- ja alustavaatimusten täyttämisessä.

Miltä vahva A.5.20 näyttää kypsässä tietoturva- ja vaatimustenmukaisuuspinossa?

Kypsemmissä pelialan organisaatioissa näet tyypillisesti:

A yhden toimittajan rekisteri joka tukee tietoturva-, yksityisyys-, jatkuvuus- ja laatutavoitteita ja jolla on selkeät omistajat, riskiluokitukset, tarkastuspäivämäärät sekä linkit palveluihin ja titteleihin kullekin kumppanille.
Sopimusmallit ja lausekepaketit, jotka liitteen A mukaisiin valvontatoimiin kuten A.5.19, A.5.20 ja asiaankuuluvat tekniset kontrollit kohdassa A.8, sekä kaikki muut käyttämäsi viitekehykset, jotta oikeudellisen kielen ja kontrolliympäristösi välillä ei ole eroa.
Seurantatiedot, tapahtumahistoria ja suoritusarvioinnit: avaintoimittajille, jotka syöttävät tietoja suoraan johdon arviointeihin, jatkuvan parantamisen suunnitelmiin ja hallitustason raportointiin sen sijaan, että ne sijaitsisivat jäsentämättömissä postilaatikoissa tai erillisissä tiketöintijärjestelmissä.

Kun A.5.20-vaatimusta käsitellään suunnitteluhaasteena – ”miten toimittajat kytkeytyvät hallintajärjestelmäämme?” – eikä paperityövaatimuksena, kumppaneista tulee tietoinen osa sitä, miten pelaat turvallisia ja luotettavia pelejäsi oikeaan tahtiin. Käyttämällä ISMS.online-alustaa toimittajarekisterin, sopimusehtojen, kontrollikarttojen, kyselylomakkeiden ja arviointiaineiston säilyttämiseen yhdessä voit siirtyä ”meillä on käytännöt” -periaatteesta ”voimme osoittaa milloin tahansa, että toimittajasuhteemme ovat hallittuja, jäljitettävissä ja linjassa sen kanssa, miten haluamme pyörittää studiotamme”. Tämä on varmuuden taso, joka rauhoittaa tilintarkastajia, vahvistaa alustasuhteita ja antaa omille tiimeillesi luottamusta jatkaa innovointia ilman jatkuvaa huolta ketjun näkymättömistä heikoista lenkeistä.

ISO 27001 A.5.20 – Pelisisällön ja -maksujen toimittajien sopimusvaatimukset